KI im Personaldienstleistungsbereich: Besondere Anforderungen

Das Wichtigste in Kürze

• Personaldienstleister setzen KI für Kandidaten-Matching, CV-Parsing, Disposition und Fluktuationsprognosen ein -- alle diese Anwendungen fallen unter die Hochrisiko-Kategorie nach Anhang III Nr. 4 VO (EU) 2024/1689.
• Die Dreiecksbeziehung zwischen Personaldienstleister, Leiharbeitnehmer und Entleiher erzeugt eine doppelte Verantwortlichkeit: Personaldienstleister können gleichzeitig als Anbieter und als Betreiber von Hochrisiko-KI gelten.
• Das Arbeitnehmerüberlassungsgesetz (AÜG) schafft zusätzliche Pflichten -- insbesondere den Gleichstellungsgrundsatz (§ 8 AÜG) und das Diskriminierungsverbot (§§ 1-3 AGG), die bei KI-gestützter Auswahl besonders kritisch sind.
• Bei Verstößen drohen AI-Act-Bußgelder (bis 15 Mio. Euro oder 3 % des Jahresumsatzes), DSGVO-Sanktionen (bis 20 Mio. Euro), AGG-Schadensersatz und der Verlust der AÜG-Erlaubnis.
• Eine strukturierte Compliance-Strategie ist für Personaldienstleister nicht optional, sondern existenzsichernd.

Die Personaldienstleistungsbranche gehört zu den frühesten und intensivsten Anwendern von KI-Technologien. Wo täglich Hunderte von Kandidatenprofilen mit Kundenanforderungen abgeglichen, Verfügbarkeiten disponiert und Einsätze geplant werden müssen, verspricht KI enorme Effizienzgewinne. Doch gerade für Personaldienstleister -- ob Zeitarbeit, Personalvermittlung oder Outsourcing -- entsteht eine regulatorische Komplexität, die über das hinausgeht, was klassische Arbeitgeber betrifft.

Der Grund: Die typische Dreiecksbeziehung zwischen Personaldienstleister (Verleiher), Leiharbeitnehmer und Kundenunternehmen (Entleiher) erzeugt besondere rechtliche Konstellationen. Dazu kommt, dass der AI Act, das AGG, die DSGVO und das AÜG gleichzeitig greifen -- mit teilweise überlappenden, teilweise eigenständigen Anforderungen. Dieser Artikel zeigt, welche KI-Anwendungen in der Personaldienstleistung betroffen sind, warum die Branche besonders exponiert ist und wie Sie Compliance systematisch sicherstellen.

Typische KI-Anwendungen bei Personaldienstleistern

Die folgende Tabelle gibt einen Überblick über die gängigsten KI-Einsatzbereiche in der Personaldienstleistung und ihre regulatorische Einordnung:

Entscheidend: Nahezu jede KI-Anwendung, die Einfluss auf die Auswahl, Zuweisung oder Bewertung von Kandidaten oder Leiharbeitnehmern hat, fällt unter Anhang III Nr. 4. Die Personaldienstleistung ist damit eine der Branchen mit der höchsten Dichte an Hochrisiko-KI-Systemen.

Hochrisiko nach Anhang III Nr. 4: Was das für Personaldienstleister bedeutet

Die Hochrisiko-Einstufung im Detail

Anhang III Nr. 4 VO (EU) 2024/1689 erfasst KI-Systeme im Bereich „Beschäftigung, Personalmanagement und Zugang zu selbständiger Erwerbstätigkeit". Zwei Unterkategorien sind für Personaldienstleister unmittelbar relevant:

• Lit. a -- Einstellung und Auswahl: KI-Systeme zur Schaltung gezielter Stellenanzeigen, zum Sichten oder Filtern von Bewerbungen oder zur Bewertung von Kandidaten. Dies trifft auf Matching, CV-Parsing und Chatbot-Recruiting direkt zu.
• Lit. b -- Entscheidungen über Beschäftigungsverhältnisse: KI-Systeme zur Aufgabenzuweisung, Leistungsbewertung oder Überwachung. Dies betrifft Disposition, Skill-Gap-Analysen und Fluktuationsprognosen.

Die Pflichten nach Art. 6-15 AI Act

Als Betreiber von Hochrisiko-KI-Systemen müssen Personaldienstleister insbesondere folgende Anforderungen erfüllen:

1. Risikomanagementsystem (Art. 9): Identifikation, Bewertung und Minderung von Risiken für jedes eingesetzte KI-System -- einschließlich Diskriminierungsrisiken.
2. Datenqualität (Art. 10): Die Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst fehlerfrei sein. Für Personaldienstleister heißt das: Kandidatenpools dürfen keine historischen Diskriminierungsmuster perpetuieren.
3. Technische Dokumentation (Art. 11): Umfassende Dokumentation der Funktionsweise, Leistungsgrenzen und Risiken jedes Systems.
4. Aufzeichnungspflichten (Art. 12): Automatische Protokollierung aller relevanten Systemereignisse (Logs).
5. Transparenz (Art. 13): Betroffene Personen müssen über den KI-Einsatz informiert werden -- Kandidaten wie Leiharbeitnehmer.
6. Menschliche Aufsicht (Art. 14): Jede KI-gestützte Entscheidung muss durch qualifiziertes Personal überprüft und bei Bedarf übersteuert werden können.
7. Genauigkeit, Robustheit und Cybersicherheit (Art. 15): Die Systeme müssen zuverlässig funktionieren und gegen Manipulation geschützt sein.

AÜG-Besonderheiten: Verleiher- und Entleiher-Pflichten

Die Dreiecksbeziehung als regulatorische Herausforderung

Das Arbeitnehmerüberlassungsgesetz (AÜG) regelt die Überlassung von Arbeitnehmern an Dritte. Es schafft eine Dreiecksbeziehung, die bei KI-Einsatz besondere Fragen aufwirft:

• Der Verleiher (Personaldienstleister) ist Arbeitgeber des Leiharbeitnehmers und setzt typischerweise die KI-Systeme für Matching und Disposition ein.
• Der Entleiher (Kundenunternehmen) definiert die Anforderungen und kann durch seine Vorgaben den KI-Output beeinflussen -- etwa durch diskriminierende Anforderungsprofile.
• Der Leiharbeitnehmer ist von den Entscheidungen beider Seiten betroffen, hat aber das geringste Einflusspotenzial.

Gleichstellungsgrundsatz und KI-Disposition

§ 8 AÜG verankert den Gleichstellungsgrundsatz: Leiharbeitnehmer haben Anspruch auf die wesentlichen Arbeitsbedingungen, die vergleichbaren Stammarbeitnehmern des Entleihers gewährt werden -- einschließlich Arbeitsentgelt (Equal Pay). Wenn ein KI-System die Disposition steuert und dabei systematisch bestimmte Arbeitnehmergruppen zu schlechter bezahlten oder weniger attraktiven Einsätzen zuweist, kann das gegen § 8 AÜG verstoßen.

Beispiel: Ein Dispositions-Algorithmus lernt aus historischen Daten, dass weibliche Leiharbeitnehmerinnen in der Vergangenheit seltener für höher vergütete Industrieeinsätze disponiert wurden. Das System perpetuiert dieses Muster -- der Personaldienstleister verstößt gegen den Gleichstellungsgrundsatz, ohne dass eine bewusste Entscheidung getroffen wurde.

Verleiher-Pflichten bei KI-Einsatz

Der Verleiher trägt als Arbeitgeber die primäre Verantwortung:

• Informationspflicht: Leiharbeitnehmer müssen gemäß § 11 Abs. 1 AÜG über die wesentlichen Bedingungen informiert werden. Wird KI für die Einsatzzuweisung verwendet, ist dies eine wesentliche Bedingung.
• Erlaubnispflicht (§ 1 AÜG): Die Erlaubnis zur Arbeitnehmerüberlassung kann widerrufen werden, wenn der Verleiher seine Pflichten systematisch verletzt -- auch durch diskriminierende KI-Systeme.
• Fürsorgepflicht: Der Verleiher darf seine Leiharbeitnehmer nicht durch KI-gestützte Entscheidungen benachteiligen.

Entleiher-Mitverantwortung

Auch der Entleiher ist nicht aus der Verantwortung entlassen:

• Gibt der Entleiher diskriminierende Anforderungsprofile vor (z. B. „muttersprachlich Deutsch" statt „Deutschkenntnisse auf Niveau C1"), wirkt sich das über die KI-Matching-Systeme des Verleiher aus und kann Diskriminierungsansprüche nach § 7 AGG auslösen.
• Der Entleiher muss gemäß § 13b AÜG die Einhaltung des Arbeitsschutzes sicherstellen -- einschließlich des Schutzes vor Diskriminierung am Arbeitsplatz.
• Setzt der Entleiher eigene KI-Systeme zur Steuerung oder Überwachung von Leiharbeitnehmern ein, ist er eigenständig Betreiber nach dem AI Act.

AGG-Diskriminierungsrisiken: Branchenspezifische Gefahren

Warum Personaldienstleister besonders exponiert sind

Die Personaldienstleistung birgt branchenspezifische Diskriminierungsrisiken, die über das allgemeine Recruiting hinausgehen:

1. Volumen und Geschwindigkeit: Personaldienstleister bearbeiten deutlich mehr Vermittlungsvorgänge als klassische Arbeitgeber. Eine diskriminierende KI skaliert den Bias über Tausende von Entscheidungen pro Monat.
2. Kundenwünsche als Bias-Treiber: Kundenunternehmen formulieren Anforderungsprofile, die diskriminierende Präferenzen verdeckt oder offen enthalten können. Wenn die KI diese Präferenzen unkritisch übernimmt, wird der Personaldienstleister zum Multiplikator fremder Diskriminierung.
3. Datenpools mit historischen Verzerrungen: Große Kandidatendatenbanken enthalten zwangsläufig historische Muster -- etwa dass bestimmte Berufsgruppen geschlechtsspezifisch besetzt waren. KI-Systeme reproduzieren diese Muster, wenn keine aktive Bias-Korrektur erfolgt.
4. Mehrfachdiskriminierung: Leiharbeitnehmer gehören häufiger vulnerablen Gruppen an (Migrationshintergrund, geringere Qualifikation, befristete Beschäftigung). Die §§ 1-3 AGG schützen vor Benachteiligung wegen Rasse, ethnischer Herkunft, Geschlecht, Religion, Behinderung, Alter oder sexueller Identität -- all diese Merkmale können in KI-Systemen als Proxy-Variablen wirken.

Beweislastumkehr nach § 22 AGG

Besonders riskant für Personaldienstleister: Die Beweislastumkehr nach § 22 AGG. Kann ein Bewerber oder Leiharbeitnehmer Indizien für eine Benachteiligung vortragen -- etwa statistisch auffällige Ablehnungsmuster --, muss der Personaldienstleister beweisen, dass keine Diskriminierung vorlag. Bei KI-gestützten Entscheidungen ist dieser Beweis oft schwer zu führen, wenn die Entscheidungslogik nicht vollständig nachvollziehbar dokumentiert ist.

Doppelte Verantwortlichkeit: Anbieter und Betreiber?

Die zentrale Frage für Personaldienstleister

Der AI Act unterscheidet zwischen Anbietern (Art. 3 Nr. 3) und Betreibern (Art. 3 Nr. 4) von KI-Systemen. Diese Unterscheidung hat erhebliche praktische Konsequenzen -- und für Personaldienstleister stellt sich eine branchenspezifische Frage: Können sie gleichzeitig als Anbieter und als Betreiber gelten?

Wann der Personaldienstleister zum Anbieter wird

Ein Personaldienstleister ist eindeutig Betreiber, wenn er ein externes KI-System (z. B. ein Matching-Tool eines HR-Tech-Anbieters) einsetzt. Er wird jedoch zum Anbieter, wenn eine der folgenden Bedingungen nach Art. 25 VO (EU) 2024/1689 zutrifft:

• Er entwickelt selbst ein KI-System und bringt es unter eigenem Namen auf den Markt oder setzt es für eigene Zwecke ein.
• Er verändert die Zweckbestimmung eines bestehenden KI-Systems wesentlich -- etwa wenn er ein allgemeines Matching-Tool so konfiguriert und anpasst, dass es de facto ein neues, eigenständiges Hochrisiko-System wird.
• Er versieht ein bestehendes System mit eigenem Namen oder eigener Marke.

Praktische Relevanz der Doppelrolle

Viele große Personaldienstleister entwickeln proprietäre Matching- und Dispositionssysteme oder passen Standardsoftware so umfassend an, dass sie nach Art. 25 als Anbieter gelten können. In diesem Fall treffen sie beide Pflichtenkataloge:

Empfehlung: Personaldienstleister sollten frühzeitig eine Rollenklärung für jedes eingesetzte KI-System vornehmen und dokumentieren, ob sie als Anbieter, Betreiber oder beides einzuordnen sind.

Beschäftigtendatenschutz: § 26 BDSG und DSGVO

Neben dem AI Act und dem AGG greift der Beschäftigtendatenschutz nach § 26 BDSG. Personaldienstleister verarbeiten besonders umfangreiche personenbezogene Daten:

• Kandidatenprofile mit Lebenslauf, Qualifikationen, Verfügbarkeit und Gehaltsvorstellungen.
• Einsatzhistorien mit Bewertungen, Abbruchgründen und Leistungsdaten.
• Kommunikationsdaten aus Chatbot-Interaktionen und automatisierten Nachrichten.

Die Verarbeitung dieser Daten durch KI-Systeme erfordert eine Rechtsgrundlage nach § 26 Abs. 1 BDSG (Erforderlichkeit für das Beschäftigungsverhältnis) oder eine Einwilligung nach § 26 Abs. 2 BDSG. Zusätzlich ist bei Hochrisiko-KI eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO i.V.m. Art. 26 Abs. 9 AI Act zwingend erforderlich.

Besonders heikel: Personaldienstleister geben Kandidatendaten regelmäßig an Entleiher weiter. Jede KI-gestützte Aufbereitung oder Bewertung dieser Daten vor der Weitergabe muss datenschutzrechtlich abgesichert sein -- einschließlich der Informationspflichten nach Art. 13/14 DSGVO.

Compliance-Checkliste für Personaldienstleister

Die folgende Checkliste fasst die wesentlichen Handlungsfelder zusammen:

1. KI-Inventar erstellen

• Alle eingesetzten KI-Systeme identifizieren und katalogisieren
• Für jedes System die Hochrisiko-Einstufung nach Anhang III Nr. 4 prüfen
• Rollenklärung vornehmen: Anbieter, Betreiber oder beides?

2. Risikomanagementsystem aufsetzen

• Diskriminierungsrisiken für jedes System bewerten (AGG-Merkmale nach § 1)
• Bias-Tests durchführen, insbesondere für Matching und Disposition
• Maßnahmen zur Risikominderung dokumentieren

3. Menschliche Aufsicht sicherstellen

• Qualifiziertes Personal für die Überprüfung von KI-Entscheidungen benennen
• Eskalationsprozesse definieren (wann wird KI-Empfehlung übersteuert?)
• Schulung der Disponenten im Umgang mit KI-Systemen

4. Transparenz gewährleisten

• Kandidaten und Leiharbeitnehmer über den KI-Einsatz informieren
• Chatbots als KI kennzeichnen (Art. 50 AI Act)
• Entleiher über KI-gestützte Vorauswahl informieren

5. Datenschutz absichern

• DSFA für jedes Hochrisiko-KI-System durchführen
• Rechtsgrundlage nach § 26 BDSG dokumentieren
• Verarbeitungsverzeichnis aktualisieren (Art. 30 DSGVO)

6. AÜG-Konformität prüfen

• Gleichstellungsgrundsatz (§ 8 AÜG) bei KI-Disposition sicherstellen
• Kundenanforderungsprofile auf diskriminierende Kriterien prüfen
• Dokumentation für Erlaubnisbehörde vorhalten

7. Dokumentation und Auditfähigkeit

• Technische Dokumentation für alle Hochrisiko-Systeme erstellen
• Logs und Entscheidungsprotokolle aufbewahren
• Regelmäßige Audits einplanen (mindestens jährlich)

Häufig gestellte Fragen (FAQ)

Fallen alle KI-Tools eines Personaldienstleisters unter Hochrisiko?

Nicht zwangsläufig. Hochrisiko sind nur KI-Systeme, die unter Anhang III Nr. 4 fallen -- also solche, die für Einstellung, Auswahl, Aufgabenzuweisung oder Leistungsbewertung eingesetzt werden. Ein KI-Tool zur Rechnungsstellung oder Buchhaltung fällt nicht darunter. Entscheidend ist die Zweckbestimmung: Sobald ein System Einfluss auf Personalentscheidungen hat, greift die Hochrisiko-Einstufung.

Wer haftet, wenn ein Entleiher diskriminierende Anforderungen vorgibt und die KI diese umsetzt?

Beide können haften. Der Personaldienstleister haftet als Arbeitgeber und Betreiber des KI-Systems nach dem AGG (§ 7 Abs. 1 i.V.m. § 15 AGG) und dem AI Act. Der Entleiher haftet nach § 7 Abs. 1 AGG als Mitverursacher der Benachteiligung. In der Praxis empfiehlt sich eine vertragliche Klausel im Arbeitnehmerüberlassungsvertrag, die den Entleiher zur Einhaltung des AGG bei Anforderungsprofilen verpflichtet -- das beseitigt die eigene Haftung des Personaldienstleisters jedoch nicht.

Muss ich als Personaldienstleister eine DSFA für mein Matching-Tool durchführen?

Ja. Ein KI-gestütztes Matching-Tool verarbeitet personenbezogene Daten von Bewerbern und Beschäftigten in einem Hochrisiko-Kontext. Art. 35 Abs. 3 lit. a DSGVO (systematische und umfassende Bewertung persönlicher Aspekte) und Art. 26 Abs. 9 AI Act (DSFA-Pflicht bei Hochrisiko-KI) verpflichten zur Durchführung einer Datenschutz-Folgenabschätzung. Dies gilt unabhängig davon, ob das Tool selbst entwickelt oder von einem externen Anbieter bezogen wurde.

Kann die AÜG-Erlaubnis wegen KI-Verstößen entzogen werden?

Ja. Die Erlaubnis zur Arbeitnehmerüberlassung nach § 1 AÜG kann gemäß § 4 AÜG widerrufen werden, wenn Tatsachen die Annahme rechtfertigen, dass der Verleiher die erforderliche Zuverlässigkeit nicht besitzt. Systematische Diskriminierung durch KI-Systeme, fehlende Transparenz gegenüber Leiharbeitnehmern oder Datenschutzverstöße können die Zuverlässigkeit in Frage stellen. Ein KI-Compliance-Verstoß ist damit potenziell existenzbedrohend.

Wie bereite ich mich als Personaldienstleister auf die Hochrisiko-Pflichten vor, die ab August 2027 vollständig gelten?

Beginnen Sie jetzt mit drei Schritten: Erstens, erstellen Sie ein KI-Inventar aller eingesetzten Systeme. Zweitens, nehmen Sie die Rollenklärung vor (Anbieter vs. Betreiber). Drittens, starten Sie mit der DSFA und der Risikobewertung für Ihre kritischsten Systeme (Matching, Disposition). Die AGG- und DSGVO-Pflichten gelten bereits heute -- der AI Act erweitert sie ab 2027 um zusätzliche Anforderungen. Frühzeitige Vorbereitung vermeidet Zeitdruck und sichert Wettbewerbsvorteile.

---

Fazit: Personaldienstleister stehen im regulatorischen Brennpunkt

Kaum eine Branche ist vom Zusammenspiel aus AI Act, AGG, DSGVO und Fachrecht so stark betroffen wie die Personaldienstleistung. Die Kombination aus Hochrisiko-Einstufung, Dreiecksbeziehung nach AÜG, massenhafter Verarbeitung personenbezogener Daten und branchenspezifischen Diskriminierungsrisiken erfordert einen systematischen Compliance-Ansatz. Wer KI-Systeme für Matching, Disposition und Screening einsetzt, muss nicht nur den AI Act erfüllen, sondern auch das AGG, das BDSG und das AÜG gleichzeitig im Blick behalten.

Die gute Nachricht: Wer jetzt strukturiert vorgeht, schafft nicht nur Rechtssicherheit, sondern auch Vertrauen bei Kandidaten, Leiharbeitnehmern und Kundenunternehmen. Compliance wird damit zum Wettbewerbsvorteil.

Sie möchten Ihre KI-Systeme in der Personaldienstleistung rechtskonform aufstellen? KI Comply unterstützt Sie mit Schulungen, Compliance-Tools und Beratung -- speziell für die Anforderungen der Personaldienstleistungsbranche. Sprechen Sie uns an.